— 117 —
● En cas d’utilisation par les acteurs privés, le RGPD s’applique
Dans l’Union européenne, depuis le 25 mai 2018, la mise en place de
traitements mobilisant des données personnelles est encadrée par le Règlement
général sur la protection des données (RGPD). L’utilisation de dispositifs de
reconnaissance faciale, faisant intervenir des données biométriques,
particulièrement sensibles parce qu’elles permettent d’identifier de façon unique
un individu, doit donc se conformer aux dispositions introduites par ce règlement.
En particulier, le responsable d’un traitement doit effectuer une analyse d’impact
relative à la protection des données et la transmettre à la CNIL, pour consultation
préalable, en cas de détection de risques résiduels élevés. Dès lors, la CNIL n’est
plus systématiquement informée de la mise en place de ces dispositifs et n’a plus à
donner son accord a priori. En contrepartie, ce nouveau système vise à la
responsabilisation de l’auteur du traitement et de son sous-traitant, qui est
considéré comme coresponsable. Pour ce type d’utilisation, le consentement est
une des bases légales possibles. Le RGPD permet de déroger à certaines règles
lorsque le traitement est effectué à des fins de recherche scientifique. Les
responsables de traitement sont désormais assujettis à de nouvelles obligations :
notification à l’autorité de contrôle de toute violation de données personnelles,
tenue d’un registre, désignation le cas échéant d’un délégué à la protection des
données. Au surplus, dans de très nombreux cas, une analyse d’impact sur la
protection des données doit être réalisée. Les responsables de traitement doivent
également veiller à ce que les personnes qui souhaitent exercer les droits qui leur
sont reconnus (droits d’information, d’accès, à l’effacement des données)
obtiennent satisfaction.
● Le droit applicable aux fichiers en matière de reconnaissance
biométrique
Le fichier des personnes recherchées (FPR) (1) comporte des photographies
mais l’article 3 du décret du 28 mai 2010 créant ce fichier précise qu’elles ne
peuvent faire l’objet d’un dispositif de reconnaissance faciale.
Quant au traitement des antécédents judiciaires (TAJ), sur lequel nous
reviendrons infra, il est utilisé dans le cadre d’enquêtes judiciaires, pour la
recherche des auteurs d’infractions, et d’enquêtes administratives, notamment les
enquêtes préalables à certains emplois publics ou sensibles. Il comprend des
informations concernant des personnes mises en cause, des victimes, ou des
personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des
causes de la mort, de blessures graves ou d’une disparition au sens des articles 74
et 74-1 du code de procédure pénale. Au nombre des données enregistrées, figure
(1) Ce fichier a pour objet de recenser toutes les personnes faisant l’objet d’une mesure de recherche ou de
vérification et de faciliter l’action des services de police et de gendarmerie, des autorités judiciaires,
militaires ou administratives. L’inscription au FPR intervient notamment pour des motifs d’ordre public,
tels que la prévention de menaces contre la sécurité publique ou la sûreté de l’État.